PT-2026-41275 · WordPress · Quick Playground
Athiwat Tiprasaharn
+1
·
Publicado
2026-05-15
·
Atualizado
2026-05-15
·
CVE-2026-6403
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Quick Playground versões anteriores a 1.3.4
Descrição
O plugin Quick Playground para WordPress contém uma falha de travessia de caminho (path traversal). Isso ocorre porque a função
qckply zip theme() não valida adequadamente o parâmetro stylesheet, que é anexado ao caminho do diretório raiz do tema sem a sanitização de sequências de travessia de diretório. Consequentemente, invasores não autenticados podem disparar a criação de um arquivo ZIP contendo arquivos arbitrários do sistema de arquivos do servidor, como o arquivo wp-config.Recomendações
Atualize o plugin para uma versão posterior a 1.3.3.
Como medida paliativa temporária, restrinja o acesso à função
qckply zip theme() para minimizar o risco de exploração.Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Quick Playground